Splunk csv自动提取字段

在使用splunk时，有时候我们想将csv格式的文件数据读入splunk，并且想要使其自动提取表头作为字段名，方便在splunk中使用spl对数据进行一些展示。

经过一系列的测试与摸索，记录下目前的发现：

• 使用Splunk Enterprise对文件进行monitor，如果文件名以csv结尾，在add data时splunk会自动识别为csv格式，并将其sourcetype设置为csv，这样，表头会被自动提取为字段，当所提取的字段名与splunnk内置的一些field重名时，被提取的字段会加上extract前缀以示区分。但如果文件名是以非csv结尾的，即使文件内容是csv格式，在add data时不会被当作csv，此时sourcetype会是default，当然这时你可以自己手动在下拉框中选择csv作为sourcetype。